サイバーセキュリティ

PHP重大脆弱性「PHP2Shell」とは？首相が異例の呼びかけ、今すべき対策

世界のWebサイトの約7割が使うPHPに、認証なしでサーバーを乗っ取られる恐れのある重大脆弱性「PHP2Shell」2件が見つかりました。高市首相がXで「大至急のお願い」と呼びかけ、国内の大手サービスが相次ぎ緊急停止。脆弱性の中身、AIによる発見の経緯、立場別にいま取るべき対策を整理します。

claude

• 9 min read
Share

2026年10月21日夜、Webサイト構築に広く使われるプログラミング言語「PHP」に、深刻度「緊急」の重大脆弱性2件（通称「PHP2Shell」、CVE-2026-109618／CVE-2026-109619）が公表され、修正版が緊急公開されました。認証なしで遠隔からサーバー上のプログラムを実行される（RCE）恐れがあり、高市早苗首相は自身のXで「今夜に対応して頂きたい大至急のお願いです」と異例の呼びかけを行いました。

同じ夜、国内ではネットショップ作成サービス「BASE」、pixiv、ニコニコ、さくらインターネットの一部サービス、人気ゲーム、さらには札幌市の公式ホームページまでが、予防的に緊急メンテナンスや一時停止に入りました。

この記事では、PHP2Shellの要点を次の順で整理します。

  • PHPとは何か、なぜ「世界のWebの7割」に影響するのか
  • 2件の脆弱性の中身と、危険度が高い環境
  • AIが発見し、公開前に情報が漏れた経緯
  • 国内外の反応と、首相発信の意味
  • サイト運営者・管理者・一般利用者が今やるべきこと

PHPとは何か――なぜ影響がこれほど広いのか

PHPは、利用者の操作に応じてサーバー側でページを組み立てるためのプログラミング言語です。ブログやECサイトの構築に使われるWordPress、EC-CUBE、オンラインストレージのNextcloud、DrupalやMagento、Laravelで作られた業務システムなど、多くのWebサービスの土台になっています。

調査会社W3Techsの2026年10月の集計では、サーバー側言語を判別できたWebサイトの69.3%がPHPを使っています。つまり「PHPの本体」に穴が開くと、その上で動くアプリケーションの出来とは関係なく、膨大な数のサイトが一斉に影響を受ける構造です。

さらに問題を大きくしているのが、古いバージョンの放置です。同じ集計ではPHP利用サイトのバージョン構成は8系が65.2%、7系が27.0%、5系が7.7%で、少なくとも約35%がすでにサポートの終わった系列を使っています。8系の中にもサポートが終了した8.0や8.1が含まれます。

PHP2Shellの中身――2件の脆弱性と危険な構成

PHPのセキュリティチームは2件をいずれもCVSS v4.0で9.2（緊急）と評価しました。どちらもPHP本体のメモリ管理に関わる不具合です。

項目 CVE-2026-109618 CVE-2026-109619
概要 メモリ不足（OOM）時の破損 古い内部状態の残存（Use-After-Free）
何が起きるか 処理が途中で中断され、未初期化の内部データを終了処理が「正しいもの」として扱う 解放済みメモリを指す情報が残り、同じワーカーの次のリクエストで再利用される
結果 条件が揃うと未認証RCE 条件が揃うと未認証RCE

特に危険度が高いとされるのが、ApacheとPHPを一体で動かす「mod_php」構成です。PHP側は、アプリケーションのコードが動き出す前の段階で、認証不要のHTTPリクエストから攻撃が成立する経路が実証されていると説明しています。

一方で、すべてのサイトが「1回の通信で乗っ取られる」わけではありません。PHP-FPM、php-cgi、FrankenPHP、LiteSpeedといった他の実行方式でも点検は必要ですが、攻撃成立には別の条件が要り、実際の危険性は構成によって異なります。

日本ハッカー協会の杉浦隆幸代表理事はTBSの取材に対し、攻撃が成功すればサーバーの乗っ取り、データの窃取や暗号化、破壊も可能で、ランサムウェアのように身代金を要求される可能性も高いと指摘しています。

AIが見つけ、公開前に漏れた――異例ずくめの経緯

AIによる発見と協調対応

今回の脆弱性は、AIを使った脆弱性探索から見つかりました。GIGAZINEによると、セキュリティ企業Califは、OpenAIが2026年6月に発表したセキュリティの取り組み「Patch the Planet」の一環として、2026年8月1日に1件目を発見し、8月11日にPHPへ報告。8月21日には2件目を見つけました。Google傘下のWizも独立して8月19日に脆弱性を発見し、24日に報告しています。

両社はOpenAIのCodex Securityチーム、PHPのセキュリティチーム、Google Geminiチームと協力して対応を調整し、パッチの検証を進めました。Google Cloud、Cloudflare、AWS、Microsoft、Automattic、Akamaiなどのパートナーは、すぐに更新できない組織向けの検知手法や暫定的な緩和策を準備していたとされます。

予定より早い公開

本来の協調開示日は10月22日でした。しかし10月20日、米国の掲示板Hacker Newsへの投稿をきっかけに脆弱性の存在が広まり、セキュリティ企業watchTowrが実在を確認。PHPは同日中に、21日14時（協定世界時、日本時間23時）に特別リリースを出すと予告しました。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35として、日本時間21日午後11時前後に公開されています。

ITmedia NEWSによると、修正版の公開前から情報が流出し、PoC（概念実証コード）も出回っており、攻撃の試みも観測されていました。悪用状況については情報が分かれています。IPAは注意喚起の時点で悪用攻撃は確認していないとしたうえでの予防的な呼びかけと説明し、米CISAも10月21日時点で悪用確認済みカタログ（KEV）に追加していません。一方で、セキュリティ企業のAikidoやPatchstackは実際の攻撃を報告しています。

国内外の反応――首相発信と相次ぐ予防停止

首相の異例の呼びかけ

高市首相は21日午後10時前、Xで「公開しているウェブサイトでPHPを使用しているか確認し」、修正パッチを「可及的速やかに適用できるよう準備をお願いします」と投稿しました。適用が難しい場合は「ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」とも述べています。

首相が個別のソフトウェア脆弱性について直接呼びかけるのは異例です。ITmedia NEWSによれば、エンジニアからは「総理が発信したことにより、経営層にもリスクが認知される」との評価が出ています。脆弱性対応では業務停止への懸念からパッチ適用が先送りされがちですが、「停止も有効策」と明言されたことは、経営層が停止を判断する後押しになり得ます。

政府のサイバー対策の司令塔である国家サイバー統括室（NCO、2025年7月にNISCを改組）と情報処理推進機構（IPA）も注意喚起を出し、IPAはPHP利用状況の棚卸しと、修正版公開後すぐに適用できる準備を求めました。

国内サービスの緊急停止

21日夕方から夜にかけ、予防措置としてサービスを止める動きが広がりました。報道で確認できる主な例は次の通りです。

  • EC・クリエイター系：BASE、pixiv、楽天市場（緊急メンテナンス）
  • 動画・エンタメ：ニコニコ、DMM.com、「ウマ娘 プリティーダービー」「グランブルーファンタジー」「Shadowverse: Worlds Beyond」
  • インフラ・業務：さくらインターネットの一部サービス、保育園向けサービス「コドモン」
  • 金融・行政：一部の銀行や証券会社、札幌市の公式ホームページ

海外の動き

海外でも米FBIのサイバー部門やEUのCERT-EUが警告を出し、オランダの政府機関などで予防的な遮断の動きがありました。闇サイトのフォーラム「BreachForums」や「Dread」が、自らのサーバーを守るために一時オフラインにしたという皮肉な事態も報告されています。

影響と今後――「アップデートが唯一の安全な選択肢」

立場別にやるべきこと

PHP開発チームは「アップデートのみが唯一の安全な選択肢」としています。立場ごとの対応は次の通りです。

  • 一般利用者：自分で何かを更新する必要は基本的にありません。サービスの一時停止は安全のための措置と受け止め、再開後に不審なメールや表示がないか注意する程度で十分です。
  • サイト運営者（レンタルサーバー・ホスティング利用）：契約先のPHPバージョンと対応状況を確認し、管理画面から修正版へ切り替えられる場合は切り替えます。
  • サーバー管理者・セルフホスト運用者：php -v などで全サーバーのバージョンを棚卸しし、8.5.12／8.4.27／8.3.36／8.2.35以上、またはディストリビューションのセキュリティ更新（Ubuntuなどは事前に修正を受領）を適用します。適用後はPHP-FPMやWebサーバーの再起動を忘れないことが重要です。
  • 企業のシステム担当者：委託先が運用するシステムや、製品に組み込まれたPHPも含めて対応状況を確認します。

すぐ更新できない場合

PHPの勧告は、攻撃経路を減らす設定（session.upload_progress.enabled=0、post_max_sizeの引き下げ、Webサーバー側でのリクエストサイズ制限など）を挙げていますが、これらは「安全にする」ものではなく露出を減らすだけです。外部公開の停止、VPNやWAFの背後への退避といった隔離を優先し、その間に更新計画を立てるのが現実的です。

古いPHPが最大のリスク

正式な修正が出たのはサポート中の8.2〜8.5系のみです。7.4、8.0、8.1には最小限のソースコード修正（バックポート）が示されただけで、7.3以前には修正がありません。SOCRadarによると、検索エンジンShodanでPHP 8.1以前とみられる公開ホストは約88.4万台にのぼります。さらに8.2系も2026年12月31日でサポートが終わる予定で、今回を機にサポート中のバージョンへ移行する計画が欠かせません。

侵害の確認も

修正版が出たことで、差分から脆弱箇所を割り出す攻撃が短時間で広がる可能性があります。更新が遅れたサーバーでは、php-fpmやApacheがシェルやcurl・wgetを起動していないか、Webルートに見覚えのないファイルや新しいcronジョブがないかを確認し、異常があればサーバーを隔離してログを保全することが推奨されています。

AIによる脆弱性発見が実用段階に入ったことで、同様の「土台ソフトの重大欠陥」は今後も見つかり続けると考えられます。発見の速さに、修正の適用速度が追いつけるかが問われています。

よくある質問

PHP2Shellとはどんな脆弱性ですか？

PHP2Shellは、PHP本体に見つかった2件の重大脆弱性（CVE-2026-109618とCVE-2026-109619）の通称です。いずれもメモリ管理の不具合で、条件が揃うと攻撃者がログインなしでサーバー上のプログラムを実行できる恐れがあります。深刻度はCVSS v4.0で9.2（緊急）と評価されています。

どのバージョンにアップデートすればよいですか？

PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれか以降が修正版です。Linuxディストリビューションのパッケージを使っている場合は、各ディストリビューションが提供するセキュリティ更新を適用します。更新後はPHP-FPMやWebサーバーの再起動が必要です。

一般のネット利用者は何かする必要がありますか？

一般の利用者が自分で何かを更新する必要は基本的にありません。各サービスの一時停止は運営側が修正を適用するための予防措置です。再開後に不審なメールや画面表示がないか、普段どおり注意しておけば十分です。

古いPHP（7系や8.1以前）を使っている場合はどうなりますか？

PHP 7.4、8.0、8.1には最小限のソース修正が示されただけで、正式な修正版は出ていません。7.3以前には修正自体がありません。外部公開の停止やVPN・WAFの背後への隔離を優先し、サポート中のバージョンへ早急に移行することが推奨されます。

なぜ首相が呼びかけたのですか？

国家サイバー統括室やIPAが緊急の注意喚起を出す中、高市首相は修正版公開の約1時間前にXで適用準備とサイト一時停止の検討を呼びかけました。首相が個別の脆弱性で発信するのは異例で、エンジニアからは経営層にリスクが伝わるとの評価が出ています。

まとめ

  • 世界のWebサイトの約7割が使うPHPに、未認証RCEにつながる重大脆弱性「PHP2Shell」2件が見つかった
  • 特にApache＋mod_php構成では、アプリの処理前に攻撃が成立する経路が実証されている
  • 脆弱性はAIを使った探索で見つかり、協調開示の前に情報が漏れたため修正が前倒しで公開された
  • 高市首相が異例の呼びかけを行い、国内の大手サービスや自治体サイトが予防的に停止した
  • 対策の基本は修正版へのアップデート。古いPHPは隔離と移行を急ぐ必要がある

参考ソース

関連記事